顯示作弊引擎中的32位和64位寄存器

Question

我目前正在一個項目中，我必須對一個軟件進行逆向工程。 我需要知道在查看內存反匯編和內存訪問視圖時是否可以同時顯示32位和64位寄存器值。

Answer 1

不，這是不可能的。 在x64目標進程上，您將看到64位寄存器。

但是很容易識別較小的寄存器表示形式。

以RAX為例：

• RAX是EAX的64位擴展版本
• EAX是AX的32位Ëxtended版本
• AX在寄存器為16位時是16位寄存器

您仍然可以輕松地將十六進制的64位寄存器值分解為較小的組件。

• RAX是總共64位
• EAX是低32位
• AX是低16位
• AH表示第h IGH AX的8位
• AL代表升流AX的8位

因此，如果您的64位寄存器包含：A0B1C2D3E4F5A6B7

• EAX = E4F5A6B7
• AX = A6B7
• AH = A6
• AL = B7

您可以通過打開Windows計算器並將其設置為Programmer（程序員）模式，十六進制模式和QWORD值來非常直觀地識別此內容。 粘貼在“ A0B1C2D3E4F5A6B7”中，然后單擊QWORD以將其類型逐漸減小，以在每個階段查看其截斷值。